Protecao de dados de pacientes no Mexico: guia LFPDPPP, INAI e NOM-024 para centros de radiologia dentaria

Uma clinica radiologica dentaria no Mexico lida com dados pessoais sensiveis todos os dias. A Lei Federal de Protecao de Dados Pessoais em Posse de Particulares (LFPDPPP), vigente desde julho de 2010, os protege com um dos marcos mais robustos da America Latina. O Instituto Nacional de Transparencia, Acesso a Informacao e Protecao de Dados Pessoais (INAI) e a autoridade de controle e pode impor multas de ate 320.000 dias de UMA, duplicadas quando se trata de dados sensiveis.

Este artigo explica o que diz a LFPDPPP, como se articula com a NOM-024-SSA3-2012 sobre sistemas de informacao clinica e a NOM-004-SSA3-2012 sobre o prontuario, e como o CBCTHub atende a cada exigencia tecnica para que seu centro radiologico opere com confianca. Profissionais brasileiros vao notar paralelos claros com a LGPD (Lei 13.709/2018).

A LFPDPPP em poucas palavras

A LFPDPPP entrou em vigor em 6 de julho de 2010 e se aplica a pessoas fisicas e juridicas privadas que tratam dados pessoais. Seu Regulamento de 2011 detalha as obrigacoes tecnicas. As Diretrizes do Aviso de Privacidade de 2013 estabelecem o conteudo minimo do aviso ao titular.

Marco regulatorio aplicavel a uma clinica dentaria no Mexico

• LFPDPPP (2010): lei federal aplicavel a particulares.
• Regulamento da LFPDPPP (2011): detalha os principios e deveres.
• Diretrizes do Aviso de Privacidade (2013): conteudo obrigatorio do aviso.
• Lei Geral de Protecao de Dados Pessoais em Posse de Sujeitos Obrigados (2017): aplicavel a IMSS, ISSSTE, hospitais publicos.
• NOM-024-SSA3-2012: sistemas de informacao de registro eletronico para a saude, seguranca e confidencialidade.
• NOM-004-SSA3-2012: prontuario, conteudo minimo e conservacao.
• Lei Geral de Saude: segredo profissional medico.

Dados pessoais sensiveis segundo a LFPDPPP

O artigo 3 fracao VI define dados pessoais sensiveis como aqueles que afetam a esfera mais intima do titular ou cuja utilizacao indevida possa originar discriminacao. Inclui expressamente origem racial, estado de saude presente e futura, informacao genetica, crencas religiosas, vida sexual. Uma tomografia CBCT e dado sensivel.

O que a lei exige sobre os dados do paciente

Aviso de Privacidade obrigatorio

Toda clinica deve entregar ao paciente um Aviso de Privacidade antes de coletar seus dados. O Aviso deve conter: identidade e endereco do responsavel, finalidades do tratamento, opcoes para limitar o uso, meios para exercer direitos ARCO, transferencias previstas, mecanismo para mudancas no Aviso. Existem tres modalidades: integral, simplificado e curto. O integral deve estar disponivel no site ou na recepcao.

Consentimento expresso para dados sensiveis

O artigo 9 da LFPDPPP exige consentimento expresso e por escrito para tratar dados sensiveis. A assinatura eletronica avancada ou a assinatura autografa em papel cumprem o requisito.

Direitos ARCO (Acesso, Retificacao, Cancelamento, Oposicao)

O titular pode exercer seus direitos a qualquer momento. O responsavel tem 20 dias uteis para responder e 15 dias adicionais para atender a solicitacao. Deve existir um departamento ou pessoa designada para atender solicitacoes ARCO.

Principios da LFPDPPP

Licitude, consentimento, informacao, qualidade, finalidade, lealdade, proporcionalidade, responsabilidade. Cada tratamento deve cumprir os oito.

Medidas de seguranca

O artigo 19 obriga a implementar medidas administrativas, fisicas e tecnicas para proteger os dados. O Regulamento detalha o sistema de gestao de seguranca. A NOM-024 adiciona requisitos tecnicos especificos para prontuarios eletronicos.

Notificacao de violacoes

O artigo 64 do Regulamento obriga a informar ao titular sem demora quando ocorra uma violacao. Nao ha prazo fixo como no RGPD, mas a jurisprudencia INAI tem aplicado o principio de imediatez.

Transferencias internacionais

As transferencias de dados ao exterior exigem consentimento do titular ou amparo nas hipoteses do artigo 37. E pratica recomendada incluir clausulas de protecao em contratos com fornecedores cloud estrangeiros.

Operador

Todo fornecedor que trata dados em nome do responsavel e um operador. Deve assinar contrato que cumpra os requisitos do artigo 50 do Regulamento.

Conservacao (NOM-004)

A NOM-004-SSA3-2012 estabelece que o prontuario deve ser conservado por pelo menos cinco anos a partir do ultimo ato medico, incluindo exames de imagem associados.

Sancoes do INAI

• De 100 a 160.000 UMA (Unidade de Medida e Atualizacao) por infracoes leves ou graves. Em 2026 a UMA gira em torno de MXN 113, entao a faixa vai de uns MXN 11.300 a MXN 18 milhoes aproximadamente.
• De 200 a 320.000 UMA por infracoes a obrigacoes reforcadas (ate uns MXN 36 milhoes).
• As multas DUPLICAM quando se trata de dados sensiveis segundo o artigo 64 da LFPDPPP.
• Penas privativas de liberdade de 3 meses a 3 anos por uso indevido e de 6 meses a 5 anos por tratamento doloso (artigos 67 e 68).

Riscos concretos para um centro radiologico dentario mexicano

Nao ter Aviso de Privacidade visivel e uma das infracoes mais comuns detectadas pelo INAI. Enviar tomografias por WhatsApp sem criptografia, nao responder solicitacoes ARCO no prazo ou usar um fornecedor cloud estrangeiro sem contrato adequado sao infracoes documentadas. Em 2023 o INAI sancionou varias instituicoes de saude com multas de varios milhoes de pesos por violacoes nao notificadas.

Como o CBCTHub ajuda voce a cumprir a LFPDPPP e a NOM-024

Modelo de Aviso de Privacidade para o Mexico

O CBCTHub inclui modelos de Aviso de Privacidade integral e simplificado adaptados a LFPDPPP. Voce so personaliza os dados da sua clinica.

Consentimento expresso por escrito

O modulo de consentimento informado do CBCTHub gera o documento conforme o artigo 9, envia ao paciente e coleta assinatura eletronica verificavel. Cumpre o requisito de consentimento expresso para dados sensiveis.

Criptografia em transito e em repouso

TLS 1.3 e AES-256 cumprem as medidas tecnicas que exige o artigo 19 da LFPDPPP e a NOM-024 nos itens de seguranca.

Audit log para direitos ARCO

Cada acesso e modificacao fica registrado. Quando um paciente exerce ARCO, voce exporta o log do prontuario correspondente pelo painel da clinica.

Procedimento documentado para direitos ARCO

O CBCTHub permite responder solicitacoes de acesso (exportacao de dados), retificacao (edicao do prontuario), cancelamento (exclusao) e oposicao (encerramento de tratamento) em questao de minutos, dentro do prazo de 20 dias uteis.

Exclusao segura para direito de cancelamento

DELETE /api/v1/exams/{id} apaga o exame e todos os DICOM em R2 de forma irreversivel. Cumpre o direito de cancelamento do artigo 25 da LFPDPPP.

Portabilidade via export-data

O endpoint /api/account/export-data entrega os dados em JSON estruturado para portabilidade ou auditoria.

Contrato com o operador

O CBCTHub assina contrato de operador que cumpre os requisitos do artigo 50 do Regulamento da LFPDPPP. Disponivel para download em /privacidad.

RLS multi-tenant no Supabase

Isolamento estrito entre clinicas. Cumpre o principio de responsabilidade do artigo 6 da LFPDPPP.

Notificacao de violacoes

Se detectamos uma violacao que afete seus dados, te notificamos sem demora para que possa cumprir o artigo 64 do Regulamento.

Checklist de conformidade LFPDPPP para seu centro

• Designar Departamento de Dados Pessoais ou pessoa responsavel.
• Publicar Aviso de Privacidade integral no site e simplificado na recepcao.
• Modelo de consentimento expresso para dados sensiveis.
• Procedimento documentado de resposta aos direitos ARCO (prazo de 20 dias).
• Sistema de gestao de seguranca documentado.
• Contrato com o CBCTHub e todos os operadores.
• Politica de retencao de 5 anos minimo segundo NOM-004.
• Cumprir requisitos tecnicos da NOM-024 se usa prontuario eletronico.
• Treinamento anual da equipe.
• Bitacora de incidentes de seguranca.

FAQ

Posso enviar tomografias por WhatsApp?

Nao de forma segura. WhatsApp nao garante as medidas tecnicas que exige o artigo 19 da LFPDPPP para dados sensiveis. Use um link seguro do CBCTHub que cumpre criptografia, controle de acesso e rastreabilidade.

Por quanto tempo devo conservar o prontuario?

A NOM-004-SSA3-2012 fixa um minimo de 5 anos a partir do ultimo ato medico. Para implantes muitas clinicas conservam pela vida util do implante.

O que acontece se eu perder o backup com dados sensiveis?

Voce deve notificar ao titular sem demora segundo o artigo 64 do Regulamento. A multa pelo descumprimento de medidas de seguranca pode duplicar por se tratar de dados sensiveis.

Preciso assinar algo com o CBCTHub?

Sim. O artigo 50 do Regulamento exige contrato com o operador. O CBCTHub o fornece em /privacidad.

Recursos oficiais

• INAI
• LFPDPPP (PDF Camara dos Deputados)
• NOM-024-SSA3-2012
• NOM-004-SSA3-2012

Baixe o contrato de operador do CBCTHub | Solucao para centros de radiologia no Mexico | Planos e precos

Este artigo e informativo e nao constitui assessoria legal. Consulte um advogado especializado em protecao de dados mexicano para o seu caso especifico.